去年冬天，终端我帮一个做外贸的系统朋友处理电脑故障。她的漏洞笔记本突然开始弹广告，每隔十几分钟就跳出一个赌博网站。终端杀毒软件扫了三遍，系统什么也没查到。漏洞我打开任务管理器，终端发现一个叫“svchost.exe”的系统进程占着40%的CPU，路径却指向C:\Users\Public\Documents。漏洞正常系统文件不会放在那儿。终端

这就是系统典型的终端系统漏洞被利用后的样子。攻击者不需要多高明的漏洞手段，只要你的终端系统少打了一个补丁，或者某个常用软件还跑着三年前的系统版本，他们就能钻进来。漏洞很多人以为装了杀毒软件就万事大吉，实际上杀毒软件主要靠特征库匹配，面对还没收录的新漏洞，基本是睁眼瞎。

终端系统漏洞分几类。最要命的是零日漏洞，厂商自己都不知道，补丁更无从谈起。去年曝光的Chrome V8引擎漏洞就属于这种，攻击者用一个精心构造的网页就能让浏览器崩溃并执行任意代码。你只是点开了一个链接，后台就已经在下载勒索软件了。另一类是已知但没及时修补的漏洞。微软每月第二个周二发补丁，可有多少人真正去点那个“立即重启”？我见过太多人把更新提示叉掉，一拖就是半年。

还有一类容易被忽略：第三方组件。终端上装的PDF阅读器、输入法、甚至字体解析库，都可能是攻击入口。前年某知名输入法被曝出提权漏洞，攻击者可以通过它拿到系统最高权限。用户根本想不到，自己每天用来打字的工具会成为跳板。

为什么终端这么脆弱？因为终端是离人最近的一环。服务器有专人运维，防火墙层层设防。终端呢？员工用它上网、收邮件、插U盘、连公共WiFi。每一个操作都是潜在的攻击面。更麻烦的是，很多终端还跑着老旧的操作系统。我见过一家小公司，财务电脑还在用Windows 7，因为那台机器上有个专用的报税软件只兼容Win7。微软早就停止支持了，漏洞补丁一个都没有。这台机器只要联网，就等于把门敞开。

攻击者怎么利用这些漏洞？常见套路是钓鱼邮件。附件是一个带宏的Word文档，你一点“启用编辑”，宏就悄悄下载并执行恶意程序。或者是一个伪装成快递通知的链接，点进去后浏览器漏洞被触发，攻击者拿到终端控制权。之后的事情就简单了：横向移动，找敏感文件，加密勒索，或者把终端变成僵尸网络的一部分。

我自己的做法是：终端上只装必要的软件，浏览器用最新版并开启自动更新，操作系统补丁延迟不超过一周。重要数据定期备份到离线硬盘。另外，别用管理员账户日常操作，建一个标准用户，需要装软件时再输管理员密码。这一步能挡住大部分提权攻击。

终端系统漏洞不会消失。只要代码是人写的，就有缺陷。厂商在修，攻击者在找，用户夹在中间。能做的不是追求绝对安全，而是把攻击成本抬高到对方觉得不划算。打补丁、少装来路不明的软件、别乱点链接——这些老生常谈的事，恰恰是最有效的防线。那个外贸朋友的电脑最后怎么处理的？我直接给她重装了系统，所有软件从官网重新下载。旧系统盘拆下来当移动硬盘用。她后来问我，那些广告到底怎么进来的。我说，可能是某个破解版的设计软件，里面捆了后门。她沉默了一会儿，说以后再也不用盗版了。